Website-Security-Checkliste für Unternehmen

Ein kompromittiertes Redaktionskonto, ein seit Monaten nicht aktualisiertes Plugin oder ein ungetestetes Backup reichen aus, damit eine Unternehmenswebsite zum Sicherheitsrisiko wird. Eine Website-Security-Checkliste für Unternehmen schafft deshalb keine theoretische Sicherheit, sondern klare Zuständigkeiten und wiederholbare Abläufe. Gerade bei Websites mit vielen Redakteurinnen und Redakteuren, Schnittstellen und individuellen Funktionen entscheidet der Betrieb über die tatsächliche Sicherheit.

Sicherheit beginnt mit Verantwortung

Websites werden häufig als abgeschlossene Projekte betrachtet. Nach dem Launch liegt der Fokus auf neuen Inhalten, Kampagnen und Sichtbarkeit. Betriebssystem, CMS, Erweiterungen, Serverkonfiguration und Benutzerrechte laufen dagegen im Hintergrund weiter. Genau dort entstehen viele vermeidbare Schwachstellen.

Der erste Punkt jeder Website Security Checkliste für Unternehmen lautet daher: Wer ist verantwortlich? Es braucht eine fachliche Ansprechperson im Unternehmen und eine technische Stelle, die Updates bewertet, Sicherheitsmeldungen einordnet und bei Vorfällen reagieren kann. Bei kleineren Organisationen können diese Rollen zusammenfallen. Wichtig ist nicht die Größe des Teams, sondern dass Aufgaben, Vertretungen und Eskalationswege verbindlich festgelegt sind.

Ebenso sinnvoll ist eine aktuelle technische Dokumentation. Sie sollte festhalten, welches CMS eingesetzt wird, welche Erweiterungen und individuellen Module vorhanden sind, wo die Website gehostet wird und welche externen Dienste Daten verarbeiten. Das spart im Ernstfall wertvolle Zeit und macht Abhängigkeiten sichtbar.

Zugänge und Berechtigungen sauber verwalten

Viele Angriffe nutzen keine spektakulären Sicherheitslücken, sondern gültige Zugangsdaten. Schwache Passwörter, gemeinsam genutzte Logins oder Konten ehemaliger Mitarbeitender öffnen Türen, die längst geschlossen sein sollten.

Administrationszugänge zum CMS, Hosting, Domain-Registrar, CDN, Analysewerkzeugen und E-Mail-System gehören in ein nachvollziehbares Berechtigungskonzept. Jede Person sollte einen eigenen Zugang erhalten. Gemeinsame Administratorkonten erschweren die Nachverfolgung und machen eine gezielte Sperrung unmöglich.

Mehrfaktor-Authentifizierung sollte überall aktiviert sein, wo sie verfügbar ist. Besonders für CMS-Administratoren, Hosting-Zugänge und E-Mail-Postfächer ist sie eine wirksame zusätzliche Hürde. Ein Passwortmanager hilft dabei, lange, einzigartige Passwörter praxistauglich zu verwalten.

Berechtigungen sollten außerdem dem tatsächlichen Bedarf folgen. Wer lediglich Inhalte pflegt, benötigt keine Systemrechte. Wer eine Agentur zeitlich begrenzt beauftragt, sollte keinen dauerhaften Vollzugriff behalten. Prüfen Sie die Benutzerkonten mindestens halbjährlich und zusätzlich nach personellen Veränderungen.

CMS, Erweiterungen und Server aktuell halten

Ein CMS ist nur so sicher wie seine gepflegten Komponenten. Das betrifft TYPO3 ebenso wie WordPress, Node.js-Anwendungen und individuell entwickelte Systeme. Sicherheitsupdates schließen bekannte Schwachstellen. Werden sie zu lange aufgeschoben, steigt das Risiko deutlich, dass automatisierte Angriffe eine öffentlich bekannte Lücke ausnutzen.

Dabei ist ein Update nicht immer ein Klick. Bei komplexen Webprojekten können Erweiterungen, individuelle Schnittstellen oder ältere Templates betroffen sein. Deshalb braucht es einen geregelten Prozess: Sicherheitsrelevante Updates werden zeitnah bewertet, zunächst in einer Testumgebung geprüft und anschließend kontrolliert produktiv eingespielt. Ein Wartungsfenster und eine klare Rückfallstrategie gehören dazu.

Auch die technische Basis darf nicht vergessen werden. Prüfen Sie regelmäßig die unterstützte PHP- oder Node.js-Version, das Betriebssystem des Servers, Datenbankversionen und eingesetzte Bibliotheken. Veraltete Laufzeitumgebungen lassen sich nicht durch ein aktuelles CMS ausgleichen.

Erweiterungen kritisch hinterfragen

Jede Erweiterung vergrößert die Angriffsfläche und erhöht den Pflegeaufwand. Das bedeutet nicht, dass Plugins oder Extensions grundsätzlich problematisch sind. Entscheidend sind Qualität, Aktualität, Verbreitung und ein verantwortlicher Maintainer.

Nicht benötigte Erweiterungen sollten vollständig entfernt werden, nicht nur deaktiviert bleiben. Bei individuell entwickelten Modulen gilt dasselbe Prinzip: sauber dokumentieren, Abhängigkeiten aktuell halten und Sicherheitsprüfungen in die Weiterentwicklung integrieren. Eine schlanke Installation ist meist leichter wartbar und besser kontrollierbar.

Daten schützen - im Betrieb und im Backup

Unternehmenswebsites verarbeiten oft mehr Daten als angenommen: Kontaktanfragen, Bewerbungen, Kundenkonten, Newsletter-Anmeldungen oder Daten aus angebundenen Systemen. Sicherheitsmaßnahmen und Datenschutz greifen an dieser Stelle ineinander, sind aber nicht identisch. Eine verschlüsselte Verbindung schützt beispielsweise Daten auf dem Übertragungsweg, ersetzt jedoch keine sichere Speicherung oder ein sauberes Berechtigungskonzept.

HTTPS muss für die gesamte Website erzwungen werden. Sicherheitsheader können zusätzliche Schutzmechanismen gegen typische Browserangriffe aktivieren. Welche Header sinnvoll sind, hängt jedoch von Funktionen wie eingebetteten Medien, externen Formularen oder Content-Security-Policies ab. Eine pauschale Konfiguration kann Funktionen beeinträchtigen und sollte getestet werden.

Backups sind der zweite zentrale Baustein. Sie müssen Datenbank, Dateien, Konfigurationen und bei Bedarf externe Speicherbereiche umfassen. Entscheidend ist nicht allein, dass Backups erstellt werden, sondern dass sie getrennt vom Produktivsystem aufbewahrt, ausreichend lange vorgehalten und regelmäßig getestet wiederhergestellt werden.

Ein Backup, dessen Wiederherstellung nie geprüft wurde, ist keine belastbare Notfallvorsorge. Definieren Sie deshalb, wie lange eine Wiederherstellung maximal dauern darf und welcher Datenverlust im schlimmsten Fall akzeptabel wäre. Für einen redaktionellen Unternehmensauftritt gelten andere Anforderungen als für ein Kundenportal oder eine transaktionsnahe Anwendung.

Angriffsfläche der Website reduzieren

Viele Schutzmaßnahmen liegen in der Konfiguration. Nicht benötigte Dienste und Ports sollten geschlossen sein. Admin-Bereiche können zusätzlich über Zugriffsregeln, VPN oder IP-Freigaben abgesichert werden, sofern dies zum Arbeitsalltag passt. Für verteilte Redaktionsteams ist eine gut eingerichtete Mehrfaktor-Authentifizierung oft praktikabler als starre IP-Beschränkungen.

Formulare benötigen Schutz vor automatisierten Anfragen und missbräuchlicher Nutzung. Dazu können Rate Limits, serverseitige Validierung und geeignete Anti-Spam-Verfahren gehören. Captchas sind nicht immer die beste Wahl: Sie können die Bedienbarkeit und Barrierefreiheit beeinträchtigen. Je nach Formularvolumen und Risikolage sind unsichtbare Prüfungen oder zeitbasierte Mechanismen die bessere Lösung.

Bei individuellen Anwendungen verdienen Upload-Funktionen, Login-Bereiche, API-Schnittstellen und Suchfunktionen besondere Aufmerksamkeit. Dateien dürfen nicht ungeprüft ausführbar sein. Eingaben müssen serverseitig validiert werden. APIs brauchen eine klare Authentifizierung, begrenzte Rechte und ein Monitoring ungewöhnlicher Zugriffe.

Monitoring und Notfallplan einrichten

Sicherheit zeigt sich auch daran, wie schnell Auffälligkeiten erkannt werden. Protokolle von Webserver, CMS und Anwendung sollten verfügbar sein und regelmäßig ausgewertet werden. Fehlgeschlagene Login-Versuche, ungewöhnliche Zugriffsspitzen, Änderungen an Systemdateien oder neue Administratorenkonten sind Signale, die untersucht werden müssen.

Automatisierte Überwachung kann Verfügbarkeit, Zertifikatslaufzeiten, verdächtige Änderungen und bekannte Schwachstellen prüfen. Sie ersetzt keine technische Bewertung, verkürzt aber die Zeit zwischen Vorfall und Reaktion. Bei geschäftskritischen Plattformen lohnt sich ein abgestuftes Alarmierungskonzept, damit nicht jede Auffälligkeit nachts einen Fehlalarm auslöst.

Der Notfallplan sollte konkret beantworten: Wer entscheidet bei einem Sicherheitsvorfall? Wer informiert Hosting, Entwicklung, Geschäftsführung oder Datenschutzverantwortliche? Wie wird die Website gegebenenfalls isoliert? Wo liegen geprüfte Backups und Zugangsdaten für den Ernstfall? Ein kurzer, zugänglicher Ablauf ist wertvoller als ein umfangreiches Dokument, das niemand kennt.

Die Checkliste als fester Betriebsrhythmus

Eine wirksame Sicherheitsprüfung besteht nicht aus einer jährlichen Momentaufnahme. Sinnvoll ist ein Rhythmus mit klaren Intervallen:

• wöchentlich für Sicherheitsmeldungen, auffällige Logins und zeitkritische Updates,
• monatlich für CMS-, Erweiterungs- und Serverupdates sowie die Prüfung von Monitoring-Meldungen,
• halbjährlich für Benutzerrechte, technische Dokumentation und Wiederherstellungstests,
• jährlich für einen umfassenden Sicherheitscheck, den Notfallplan und die Bewertung externer Dienstleister.

Bei E-Commerce-Systemen, Portalen mit Nutzerkonten oder Websites mit besonders schützenswerten Daten sollten die Intervalle kürzer sein. Auch nach größeren Releases, CMS-Migrationen oder neuen Schnittstellen ist eine zusätzliche Prüfung sinnvoll.

Sicherheit ist kein Zustand, den man einmal erreicht und dann abhakt. Sie ist Teil einer professionellen, langfristigen Website-Betreuung. Wer Zuständigkeiten klärt, Systeme aktuell hält und den Ernstfall regelmäßig mitdenkt, schützt nicht nur Daten und Verfügbarkeit, sondern auch die Glaubwürdigkeit des eigenen Unternehmens.